Udhaifu mmoja, kifurushi kimoja hasidi kilichofichwa miongoni mwa mamilioni, kinaweza kuhatarisha usalama wa programu nyingi, na kuhatarisha shughuli za biashara na faragha ya mtumiaji. Ni katika mazingira haya hatari ambapo timu yetu ya Xygeni ilianza operesheni ya usalama, ikifichua ukweli mkali ambao wengi waliogopa lakini wachache wangeweza kuthibitisha: uwepo wa vifurushi hasidi vya npm ndani ya uti wa mgongo wa mfumo wetu wa kidijitali.
Kuanzia Januari 13 hadi 15, 2024, skani yetu ya Ugunduzi wa Msimbo Hasidi ilipenya pazia la hali ya kawaida, na kufichua si moja, bali vifurushi kumi vya siri vya npm. Hizi hazikuwa vitendo vya nasibu vya utovu wa nidhamu bali kampeni, kila moja ikiwa imetengenezwa ili kutoa data nyeti kwenye pembe za giza za mtandao. Ufunuo huu si tu wito wa kuamsha; ni wito wa wazi wa kuchukua hatua kwa kila mdau katika mchakato wa utengenezaji wa programu.
Wakati huo, juzuu hiyo bado ilikuwa maarufu. Mnamo 2026, haipo tena. Matoleo ya hivi karibuni ya Muhtasari wa Msimbo Hasidi thibitisha vifurushi hasidi 100-200+ kila wiki katika npm na PyPI pekee, dirisha hili hili la siku tatu leo lingeibuka kwa kiwango kikubwa zaidi. Mbinu za uchujaji na uepukaji zilizoorodheshwa hapa chini hazijatoweka; zimekuwa za viwandani kwa kiwango ambacho hakuna mtu aliyetarajia mapema mwaka wa 2024.
Kama waanzilishi katika usalama wa mtandao, mtazamo wa kipekee wa Xygeni unaturuhusu sio tu kugundua vitisho hivi bali pia kuelewa athari zake kwa undani. Ripoti hii ni ushuhuda wa commitKulinda mpaka wa kidijitali wa kugundua ushahidi hasidi katika msimbo ili kuepuka ubadilishaji katika mashambulizi ya baadaye.
Jiunge nasi tunapochunguza kwa undani maelezo tata ya kampeni hizi, tukifafanua mbinu za washambuliaji na, muhimu zaidi, kutoa mwanga kuhusu jinsi biashara zinavyoweza kuimarisha ulinzi wao dhidi ya vitisho hivyo vya siri.
Ugunduzi wa Awali: Uvunjaji wa Aurora Webmail Pro
Ugunduzi wa awali katika uchunguzi wetu ulikuwa kifurushi kilichopewa jina aurora-webmail-pro, ambayo ilipakiwa kwenye sajili ya NPM na mtumiaji mwenye jina bandia 0x379cUgunduzi huu ulifuatiwa haraka na utambuzi wa vifurushi vinne vya ziada, vyote vikiwa vimepakiwa na mwandishi huyo huyo kabla ya shughuli zao kusimamishwa na hatua za usalama za usajili.
Vifurushi hivi vilijumuisha blogu_2021@1.1.1, heatwallet@10.1.1, newbooking@1.1.1, na pecko@1.0.1Kila kifurushi, baada ya uchunguzi, kilipatikana kuwa na msimbo hasidi unaofanana sana unaolenga kutoa taarifa nyeti za mtumiaji.
Programu hurejesha taarifa nyeti za mfumo kuhusiana na mtumiaji na mfumo na huunda hexdump yenye data kama hiyo. Kisha data hurudiwa na kwa kila kipande, ombi la GET hufanywa kwa tovuti ya nje, ambapo njia iliyofikiwa ni kila kipande kilichojengwa.
Ufichuzi wa Pili: Mbinu Mbalimbali katika Uenezaji wa Kanuni Hasidi
Sambamba na ugunduzi wa kundi la awali, uchunguzi wetu ulifichua vifurushi vinne vya ziada vya NPM, vilivyosambazwa katika sajili yote na watumiaji watatu tofauti.
Vifurushi hivi, vilivyoorodheshwa kama mtu yeyote-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2, na synology-cft@10.0.0, walishiriki uzi mmoja katika mfumo wao wa msimbo—kila mmoja alibuniwa ili kunyonya taarifa za mtumiaji. Ikumbukwe kwamba, mbinu iliyotumika kwa ajili ya uchujaji data katika matukio haya ilitofautiana na ile ya kundi la kwanza, ikidokeza kampeni tofauti, ingawa ilikuwa mbaya vile vile.
Mkakati huu wa kampeni ya pili ulihusisha mbinu ya moja kwa moja zaidi ya kukusanya data nyeti. Baada ya kuamilishwa, msimbo hasidi ndani ya vifurushi hivi ulianza kazi ya upelelezi kamili, ukitoa taarifa za kina kuhusu usanidi wa mfumo wa mtumiaji, data ya mtumiaji binafsi, na hasa, anwani ya IP ya mfumo. Mkusanyiko huu kamili wa data ulilenga kukusanya faili kamili kwa mwathiriwa, na kuweka msingi wa uvamizi mkubwa zaidi au mashambulizi yaliyolengwa.
Ni muhimu kusisitiza kwamba licha ya uwezekano wa vifurushi hivi kujifanya kama sehemu ya shughuli halali za utafiti wa usalama, kama vile zile zinazolenga kufichua udhaifu kupitia mbinu za Kuchanganyikiwa kwa Utegemezi, ukweli bado haujabadilika. Vifurushi hivi vinaweza kubuniwa kwa nia mbaya, kukusanya na kusambaza data nyeti kwa vyombo vya nje visivyoidhinishwa.
Tahadhari Maalum: Upungufu wa djs13-fetcher na Athari Zake kwa Usalama wa Mtandaoni
Katikati ya uchunguzi wa vifurushi vilivyotajwa hapo juu, jukwaa letu liliripoti jambo lisilo la kawaida zaidi: kifurushi kilichopewa jina djs13-fetcherUgunduzi huu maalum unatofautiana na mifano ya awali, si tu katika njia yake ya uendeshaji bali pia katika asili ya tishio linalojitokeza. djs13-fetcher ilitambuliwa kama kuanzisha mfuatano wa upakuaji na utekelezaji wa kiambatisho kutoka Discord, haswa faili ya binary inayoitwa astroia.exeBaada ya uchunguzi wa karibu kupitia huduma ya uchanganuzi otomatiki, jozi hii ilipata Alama ya Tishio ya 85/100, ukadiriaji unaoiainisha bila utata kama programu hasidi.
Uendeshaji wa djs13-fetcher na utekelezaji uliofuata wa astroia.exe unasisitiza vekta ya vitisho tata na yenye sura nyingi. Kipengele cha binary husika kilibuniwa kufanya mfululizo wa vitendo vinavyoashiria nia mbaya iliyojikita ndani:
- Michakato ya Mfumo wa Kuzaa: Programu hasidi huanzisha michakato mingi ya mfumo baada ya utekelezaji, mbinu ambayo mara nyingi hutumika kutekeleza hati zaidi hasidi au kuanzisha msingi kwenye mfumo ulioambukizwa kwa ajili ya malipo ya ziada.
- Kuuliza Taarifa za Mfumo: Hufanya maswali mengi ya taarifa za mfumo. Kitendo hiki kwa kawaida hulenga kukusanya taarifa za kijasusi kuhusu mazingira ya mfumo, ambazo zinaweza kutumika kwa ajili ya kurekebisha mashambulizi yanayofuata kulingana na udhaifu maalum wa mfumo.
- Kufanya Maneuvers ya KukwepaLabda muhimu zaidi, astroia.exe iliundwa kutekeleza maswali ya Windows Management Instrumentation (WMI) ili kugundua kama inaendeshwa ndani ya mashine pepe (VM). Tabia hii ni hatua dhahiri ya kukwepa, inayokusudiwa kuepuka kugunduliwa na uchambuzi na wataalamu wa usalama wa mtandao na mifumo otomatiki ambayo kwa kawaida hutumia VM kwa ajili ya uchambuzi wa programu hasidi.
Vifungu muhimu
Ugunduzi wa vifurushi hivi 10 vya npm vyenye madhara, pamoja na kesi maalum ya djs13-fetcher, ulikuwa ishara ya mapema ya muundo ambao tangu wakati huo umeongezeka zaidi ya kile ambacho mtu yeyote alitarajia mnamo Januari 2024.
Ukweli huu ulisisitiza, hata wakati huo, jukumu muhimu la Huduma ya Onyo la Mapema ya Xygeni. Iliyoundwa ili kuchambua na kutoa tahadhari kuhusu vitisho vinavyoweza kutokea katika vifurushi vipya vya npm mara tu vinapochapishwa, huduma yetu iliwakilisha hatua kubwa mbele katika ulinzi makini wa usalama wa mtandao wakati huo, na mantiki yake ikawa muhimu zaidi kadri wingi ulivyoongezeka. Kwa kutoa ugunduzi wa mapema wa ishara za uovu, muda mrefu kabla ya standard taratibu, tunawawezesha wateja wetu kulinda mifumo ikolojia ya programu zao dhidi ya uvamizi unaowezekana wa programu hasidi kabla ya kusababisha madhara. Aina hii ya ugunduzi sasa inaendelea mfululizo: tazama matokeo yaliyothibitishwa ya wiki hii katika yetu Muhtasari wa Msimbo Hasidi.
Mashirika lazima yaweke kipaumbele katika utekelezaji wa itifaki imara za usalama, kuanzia ukaguzi wa kawaida wa misimbo hadi zana za kisasa za kugundua, ili kulinda dhidi ya mbinu za kisasa zinazotumiwa na wapinzani wa mtandao. Xygeni, tunabaki commitTulijitolea kuongoza katika vita hivi vinavyoendelea, tukiwapa washirika wetu na jamii kwa ujumla maarifa na zana zinazohitajika ili kuepusha vitisho hivi vya siri.
Maswali
Je, vifurushi vya npm vyenye madhara bado ni tatizo linaloongezeka mwaka 2026?
Ndiyo, kwa kiasi kikubwa. Chapisho hili lilirekodi vifurushi 10 vya npm vyenye madhara vilivyopatikana kwa siku tatu mnamo Januari 2024. Kielelezo cha Msimbo Mbaya cha Xygeni sasa kinathibitisha vifurushi zaidi ya 100-200 vya madhara kila wiki katika npm na PyPI, ushahidi kwamba mbinu za uchujaji na uepukaji zilizotambuliwa hapa zimeongezeka sana badala ya kutoweka.
Ninawezaje kuangalia kama kifurushi cha npm kina madhara kabla ya kusakinisha?
Thibitisha historia ya mhudumu, angalia tarehe za kuchapisha na hesabu za upakuaji kwa kasoro, na utumie uchanganuzi otomatiki unaoashiria mifumo ya uondoaji na tabia ya kukwepa, si tu ulinganisho wa CVE unaojulikana, kwani vifurushi vingi hasidi, ikiwa ni pamoja na vyote 10 vilivyotajwa hapa, vilikuwa vipya wakati wa ugunduzi.
Ninawezaje kuangalia kama kifurushi cha npm kina madhara kabla ya kusakinisha?
Thibitisha historia ya mhudumu, angalia tarehe za kuchapisha na hesabu za upakuaji kwa kasoro, na utumie uchanganuzi otomatiki unaoashiria mifumo ya uondoaji na tabia ya kukwepa, si tu ulinganisho wa CVE unaojulikana, kwani vifurushi vingi hasidi kama vile vilivyo kwenye ripoti hii vilikuwa vipya wakati wa ugunduzi.
Je, vifurushi vipya vya npm vibaya bado vinapatikana mara kwa mara?
Ndiyo. Xygeni's Muhtasari wa Msimbo Hasidi huchapisha vifurushi vipya vilivyothibitishwa vya npm na PyPI hasidi kila wiki; mbinu za uondoaji na ukwepaji wa VM zilizoandikwa katika ripoti hii ya 2024 zinabaki kuwa za kawaida katika vifurushi vilivyogunduliwa leo.
